LinuxDoc.ru - Новости Linux - В WordPress 4.9.7 устранены уязвимости, позволяющие удалять файлы в системе

В WordPress 4.9.7 устранены уязвимости, позволяющие удалять файлы в системе

LinuxDoc.Ru,
Опубликован корректирующий выпуск системы управления web-контентом WordPress 4.9.7, в котором устранены две уязвимости, при помощи которых можно удалить произвольные файлы на сервере, насколько позволяют права доступа пользователя, под которым выполняется WordPress. Например, в ходе атаки можно удалить файл wp-config.php и инициировать процесс установки нового экземпляра WordPress при следующем открытии сайта, в ходе которой атакующий может завести новый аккаунт администратора WordPress, при помощи которого можно запустить произвольный PHP-код на сервере. Для эксплуатации обеих уязвимостей атакующий должен иметь привилегии автора публикаций (Author) в WordPress. Уязвимости вызваны передачей в функцию unlink() имени файла, сформированного на основе переданных пользователем внешних параметров, не очищенных должным образом (например, можно указать "../../wp-config.php"). В частности данная функция вызывается для удаления эскизов изображений, при инициировании удаления приложенной к публикации картинки. Дополнение: Информация об уязвимости была отправлена создателям WordPress ещё в ноябре прошлого года и разработчики запросили 6 месяцев на исправление. После наступления указанного срока исследователи попытались уточнить планы по исправлению и предупредили, что намерены скоро раскрыть информацию об уязвимости. Ещё спустя месяц информация об уязвимости была раскрыта. Через неделю разработчики WordPress отреагировали созданием патча и выпуском обновления 4.9.7 с устранением проблемы.
linux

Новости Linux

. В WordPress 4.9.7 устранены уязвимости, позволяющие удалять файлы в системе В WordPress 4.9.7 устранены уязвимости, позволяющие удалять файлы в системе
Если Вы обнаружите в опубликованных документах ошибки, опечатки, несоответствия и неточности - сообщите о них.
>>> Доступен четвёртый бета-выпуск FreeBSD 12.0. Выпуск FreeBSD 12.0-BETA4 доступен для архитектур amd64, i386, powerpc, powerpc64, powerpcspe, sparc64 и armv6, armv7 и aarch64. Дополнительно подготовлены образы для систем виртуализации (QCOW2, VHD, VMDK, raw) и облачных окружений Amazon EC2. Релиз FreeBSD 12.0 запланирован на 11 декабря.
>>> Компания Mozilla представила две новые функции, предложенные в рамках инициативы Test Pilot, которая предоставляет пользователям возможность оценить и протестировать экспериментальные функции, развиваемые для будущих выпусков Firefox. Для участия в программе необходимо установить специальное дополнение Test Pilot (учетная запись в системе Firefox Account при этом не обязательна), в котором будет доступен список предлагаемых для тестирования возможностей. В процессе работы Test Pilot осуществляется сбор и отправка обезличенной статистики о характере работы с тестируемыми дополнениями.
>>> Компания Google представила инициативу по добавлению в браузер Chrome программных интерфейсов, позволяющих создавать web-приложения, близкие по своим возможностям к обычным самодостаточным пользовательским программам. Указанные API дадут возможность использовать браузер в качестве напоминающей Cordova или Electron платформы для разработки программ, предоставляющей доступ к расширенным возможностям операционной системы и оборудования.
>>> Опубликован релиз пакета wayland-protocols 1.17, содержащего набор протоколов и расширений, дополняющих возможности базового протокола Wayland и предоставляющих возможности, необходимые для построения композитных серверов и пользовательских окружений.


Редакция портала:

Добро пожаловать на сайт, посвященный документации к ОС Linux, ее переводу и распространению. Мы надеемся, что Вы найдете тут всю необходимую информацию. Здесь представлены три основных вида документации на русском языке: руководства (man-pages), HOWTO и mini-HOWTO. В скором будущем возможно появление и других видов документации.
Авторские права на представленные документы принадлежат авторам перевода и распространяются в соответствии со Стандартной Общественной Лицензией, если в документе не указано обратное.
Если Вы обнаружите в опубликованных документах ошибки, опечатки, несоответствия и неточности - сообщите о них.